pe-sieve

소개 PE-sieve 는 시스템에서 실행 중인 악성코드를 탐지하고, 추가 분석을 위해 잠재적으로 악의적인 자료를 수집하는 데 도움이 되는 도구입니다. 스캔된 프로세스 내에서 다양한 임플란트대체/주입된 PE, 셸코드, 후크 및 기타 메모리 패치를 인식하고 덤프합니다. 인라인 후크, 프로세스 할로잉, 프로세스 도펠갱잉, 리플렉티브 DLL 인젝션 등을 탐지합니다. PE-sieve는 한 번에 단일 프로세스 를 스캔하는 데 전념하는 경량 엔진 입니다. EXE 또는 DLL로 빌드할 수 있습니다. DLL 버전은 간단한 API를 제공하며 다...

nosferatu

nosferatu Windows NTLM/Kerberos 인증 백도어 작동 방식 먼저, DLL이 lsass.exe 프로세스에 주입되고, 인증 WinAPI 호출을 후킹하기 시작합니다. 대상 함수는 다음과 같습니다: NTLM: NtlmShared!MsvpPasswordValidate Kerberos: cryptdll!CDLocateCSystem Kerberos: samsrv!SamIRetrieveMultiplePrimaryCredentials 발각되지 않기 위해, 후킹된 함수는 먼저 원래 함수를 호출하여 정상적인 인증 흐름을...

EvtMute

EvtMute 이 도구는 Windows 이벤트 로깅에서 보고되는 이벤트에 필터를 적용하기 위해 YARA를 공격적으로 사용할 수 있게 합니다. 사용법 최신 버전은 여기에서 받으세요. EvtMuteHook.dll에는 핵심 기능이 포함되어 있으며, 주입되면 모든 이벤트가 보고되도록 허용하는 임시 필터가 적용됩니다. 이 필터는 재주입 없이 동적으로 업데이트할 수 있습니다. 저는 SharpEvtMute.exe를 작성했으며, 이는 C 어셈블리로 shad0w의 execute 또는 cobalt strike의 execute-assembly를 ...

Evasor

概要 Evasorは、Windowsオペレーティングシステム上に存在し、アプリケーションコントロールルールをバイパスするために使用できる実行可能ファイルを特定する自動化されたセキュリティ評価ツールです。非常に使いやすく、高速で、時間を節約し、完全に自動化されており、説明、スクリーンショット、緩和策の提案を含むレポートを生成します。ポストエクスプロイテーションフェーズの評価において、ブルーチームとレッドチームの両方に適しています。 必要条件 Windows OS. Visual Studio 2017がインストールされていること。 使用方法...

Cooolis-ms

Cooolis-ms Wiki 설명 Cooolis-ms는 Metasploit Payload Loader, Cobalt Strike External C2 Loader, Reflective DLL injection을 포함하는 코드 실행 도구입니다. 정적 탐지에서 실행하려는 특징적인 코드를 일부 회피하여, 레드 팀 구성원이 웹 컨테이너 환경에서 C2 환경으로 더 편리하고 빠르게 전환하여 작업을 진행할 수 있도록 돕는 데 목적이 있습니다. 어떻게 다운로드하나요? Github에서 직접 저장소를 클론하여 소스 코드를 얻을 수 있습니다: g...

Prineo_RE

소개 PriPara 내부명 Prineo는 SynSophia에서 개발한 아케이드 리듬 게임입니다. 목표 이 프로젝트의 목표는 아케이드 시리즈의 모델 포맷을 리버스 엔지니어링하여 독점 캐릭터를 Nintendo Switch의 최신 버전 게임으로 이식하는 것이었습니다. 스크린샷 RE 과정 중 찍은 몇 가지 흥미로운 스크린샷입니다. Noesis 애드온 초기 버전 — 첫 부분 모델 가져오기 2025-09-14 역직렬화 구현을 테스트하는 데 사용된 C 모델 리더 2025-12-06 VM에서 복호화된 덤프를 실행하고, MinHook과...

BoomER

BoomER BoomER는 Python으로 개발된 오픈 소스 프레임워크입니다. 이 도구는 사후 침투post-exploitation에 중점을 두며, 주요 목표는 로컬 취약점 탐지 및 익스플로잇, 그리고 시스템 정보 수집예: 설치된 애플리케이션입니다. 이 프레임워크는 타사에서 모듈을 개발하여 확장할 수 있습니다. 이를 위해 개발자는 특정 지침을 따라야 하며, 그중 주요 사항은 다음과 같습니다: • 상속 유형 • 구현할 메서드 또는 함수 • 필수 또는 새로운 매개변수 • 모듈 이름 • 프레임워크 내 모듈 위치 우리는 이 도구를...

hollows_hunter

hollowshunter Hollows Hunter is a command-line application based on PE-sieve passive memory scanner. Recognizes and dumps a variety of potentially malicious implants replaced/implanted PEs, shellcodes, hooks, in-memory patches. While in case of PE-sieve you can select the process only by its PID,...

PuttyRider

PuttyRider Putty 세션을 가로채서 대화를 스니핑하고 Linux 명령을 주입합니다. Download PuttyRider-bin.zip Documentation Defcamp 2014 프레젠테이션 - pdf Defcamp 2014 프레젠테이션 - video Examples 실행 중인 Putty 프로세스와 그 상태주입됨/주입되지 않음를 나열합니다. root@kitploit: PuttyRider.exe -l 첫 번째로 발견된 putty.exe에 DLL을 주입하고 DLL에서 내 IP:Port로 역방향 연결을 시작한 후...

sRDI

sRDI - Shellcode Reflective DLL Injection sRDI は、DLL ファイルを位置独立シェルコードに変換することを可能にします。適切なセクション権限、TLS コールバック、健全性チェックをサポートする、完全機能の PE ローダーとなることを目指しています。これは、パックされた DLL に取り付けられたシェルコード PE ローダーと考えることができます。 機能は、次の 2 つのコンポーネントによって実現されます。 PE ローダー実装 RDI をシェルコードにコンパイルする C プロジェクト...

CobaltStrikeScan

CobaltStrikeScan 파일 또는 프로세스 메모리에서 Cobalt Strike 비콘을 스캔하고 해당 구성을 파싱합니다. CobaltStrikeScan은 Windows 프로세스 메모리에서 DLL 인젝션클래식 또는 리플렉티브 인젝션의 증거를 스캔하거나, 대상 프로세스 메모리에서 Cobalt Strike v3 및 v4 비콘 시그니처에 대한 YARA 스캔을 수행합니다. 또는 CobaltStrikeScan은 명령줄 인수로 절대 또는 상대 경로로 제공된 파일에 대해 동일한 YARA 스캔을 수행할 수 있습니다. 파일이나 프로세스에서...

Nidhogg

Nidhogg Nidhogg は、カーネル空間で実行できるさまざまな操作を紹介する多機能ルートキットです。Nidhogg の目標は、操作に役立つ多機能で使いやすいオールインワンのルートキットを提供することです。さらに、C2 フレームワークと簡単に統合することもできます。 Nidhogg は、x64 版 Windows 10 および Windows 11 のすべてのバージョンで動作します。 このリポジトリには、カーネルドライバと、それと通信するための C++ プログラムが含まれています。 詳細については、wiki をご覧ください。 現在の機能 !IMPORTANT すべての機能は...

TotalRecall

TotalRecall Reloaded Breaking Windows Recall. Again. image Microsoft가 VBS 엔클레이브, AES-256-GCM 암호화, Windows Hello 인증, Protected Process Light 호스트를 사용하여 Recall을 재설계했을 때, 메시지는 분명했습니다: 데이터는 금고에 잠겨 있다는 것입니다. 금고는 견고합니다. 그러나 배달 트럭은 그렇지 않습니다. Recall 타임라인을 렌더링하는 프로세스인 AIXHost.exe에는 PPL, AppContainer, 코드 무결...

CVE-2010-5301

CVE-2010-5301 SEH 오버플로우와 임의 DLL 주입의 개념 증명 설명 Kolibrì HTTP Server 2.0은 스택 기반 버퍼 오버플로우 의 영향을 받습니다. 발견 당시 이 취약점은 스택에 배치된 셸코드를 가리키는 ESP에 JMP ESP 명령어로 명령 포인터를 덮어씌우는 방식으로 악용되었습니다. 이후 더 큰 페이로드를 보내면 SEH 체인을 덮어쓸 수 있다는 것이 발견되었습니다. 그러나 애플리케이션에는 SE 핸들러가 다음 SEH 레코드를 가리키도록 하는 유효한 POP - POP - RET 명령어가 없습니다. 이는 ...

zirconium

zirconium Call of Duty: Black Ops 2 ZombiesPlutonium 모드용 DLL 인젝션 게임 치트입니다. 다운로드는 Releases 페이지에서 받을 수 있습니다 면책 조항: 이 프로젝트는 제가 BO2를 하며 자랐기 때문에 존재하며, 리버싱을 하기에 좋은 대상이기도 했습니다. 14년 된 AAA 게임으로 사실상 죽은 게임이지만, 대형 게임 엔진을 리버싱해보기에는 비교적 현대적인 애플리케이션이기도 합니다. 저는 치트를 조장하지 않습니다. 이걸 사용해서 어쩔 수 없이 밴을 당하더라도 저는 책임지지 않습니다...

PowerSploit

PowerView.ps1 に、私が普段手動で行っているいくつかの機能を追加するためにフォークしました。 このプロジェクトはもはやサポートされていません PowerSploit は、アセスメントの全フェーズでペネトレーションテスターを支援するために使用できる Microsoft PowerShell モジュールのコレクションです。PowerSploit は、次のモジュールとスクリプトで構成されています: CodeExecution ターゲットマシン上でコードを実行します。 Invoke-DllInjection 任意のプロセス ID に DLL を注入します。...

KeeFarceReborn

KeeFarce Reborn KeePassプロセスにインジェクションされると、データベースを平文でエクスポートするスタンドアロンDLLです。 素晴らしい KeeFarce や KeeThief、KeePassHax プロジェクトから多大な影響を受けています。 また別のKeePass抽出ツール、なぜ? 数年前、@denandz は、KeePassデータベースを平文で抽出するように設計された最初の攻撃用ツールである KeeFarce を公開しました。これは実行中のプロセスにDLLをインジェクションし、ClrMD...

Dragnmove

Dragnmove Dragnmove は、ユーザー間で共有されるファイルに感染して、あるシステムから別のシステムへ移動するためのポストエクスプロイテーションツールです。Dragnmove は、ブラウザウィンドウへのファイルのドロップや、メールクライアントへのファイル添付などの操作を検出できます。Dragnmove が操作を検出すると、CreateFile API 呼び出しをフックしてハンドルを変更します。 使用方法 作業中!!! 環境に応じて TARGETWINDOW と PAYLOADFILE を変更する Dragnmove を VS2019-VS2022 でコンパイルする...

DragonCastle

DragonCastle AutodialDLL 수평 이동 기술과 SSP를 결합하여 LSASS 프로세스에서 NTLM 해시를 추출하는 PoC입니다. 설명 대상 컴퓨터에 DLL을 업로드합니다. 그런 다음 원격 레지스트리를 활성화하여 AutodialDLL 항목을 수정하고 BITS 서비스를 시작/재시작합니다. Svchost가 DLL을 로드하고, AutodiaDLL을 기본값으로 다시 설정한 후 RPC 요청을 통해 LSASS가 동일한 DLL을 SSP보안 지원 공급자로 로드하도록 강제합니다. DLL이 LSASS에 로드되면 프로세스 메모리 내에...

CVE-2018-8440

CVE-2018-8440 メタスプロイトがSandboxEscaperが提供するdllライブラリを使用しており、x64のターゲットしかないことに気付いたので、私のpocをコミュニティと共有することにしました。もちろん、プリントスプーラーをターゲットにするよりもはるかに優れたベクターはありますが、それは読者の演習として残しておきます。 これはx86でテストされたスタンドアロンのpoc実行可能ファイルです（クライアントのために必要でした）。私の知る限り、これはx64でも動作するはずですが、現時点ではこの環境ではテストされていません。 はじめに...